O registro fica em _dmarc.example.com, por exemplo v=DMARC1; p=reject; rua=mailto:dmarc@example.com; adkim=s. Uma mensagem passa quando o SPF passa para um domínio do envelope alinhado com o domínio do From ou quando uma assinatura DKIM é verificada para um domínio d= alinhado. As políticas p (o domínio), sp (subdomínios) e np (subdomínios inexistentes) aceitam none, quarantine ou reject; rua e ruf solicitam relatórios agregados e de falha, agora especificados na RFC 9990 e na RFC 9991.
A RFC 9989 substituiu a RFC 7489 (2015), que era informativa, e a extensão PSD da RFC 9091, e colocou o DMARC na trilha de padrões (standards track). Ela removeu as tags pct, rf e ri, acrescentou np, psd e t (modo de teste, que pede aos receptores que apliquem um nível abaixo da política declarada) e substituiu a Public Suffix List por um percurso da árvore DNS de no máximo oito consultas para encontrar o domínio organizacional. Os registros v=DMARC1 existentes continuam funcionando.
O Gmail, o Yahoo e a Microsoft exigem pelo menos p=none dos remetentes em massa, e o BIMI exige quarantine ou reject. A implantação habitual começa com p=none e relatórios, corrige cada fluxo legítimo e só então passa a aplicar a política.